Seminar Dissect – Forensische Fallwerkstatt

Die Fallwerkstatt bildet einen vollständigen, mehrstufigen DFIR-Fall ab. Ausgehend von einer unvollständigen Erstmeldung werden Beweismittel strukturiert, Targets priorisiert, Artefakte analysiert, Hypothesen geprüft, Ereignisse korreliert und technische Befunde in einer nachvollziehbaren Falldokumentation zusammengeführt.

Inhaltsverzeichnis

1. Auftrag, Lagebild und Untersuchungsfragen
2. Beweismittelannahme und Fallstruktur
3. Ersttriage und Systeminventar
4. Windows- und Identitätsanalyse
5. Linux-, Dienst- und Infrastrukturspuren
6. Timeline und Ereigniskorrelation
7. IOC-, YARA- und Anomalieprüfung
8. Befundprüfung und Peer Review
9. Technische Übergabe und Maßnahmenplanung

Lernziele

• Einen vollständigen Untersuchungsfall von der Erstmeldung bis zur technischen Übergabe bearbeiten
• Dissect-Werkzeuge entlang einer belastbaren Beweis- und Hypothesenkette auswählen
• Windows-, Linux-, Identitäts- und Virtualisierungsartefakte gemeinsam bewerten
• Fehlannahmen, Datenlücken und alternative Erklärungen methodisch behandeln
• Reproduzierbare Befunde mit klaren Prioritäten und Nachweisen erstellen

Seminarinhalte

1. Auftrag, Lagebild und Untersuchungsfragen

1. Schritt 1: Erstmeldung, technische Indikatoren und betriebliche Auswirkungen in bestätigte Fakten und Annahmen trennen.
2. Schritt 2: Konkrete Untersuchungsfragen zu Eintritt, Persistenz, Ausbreitung und Datenzugriff formulieren.
3. Schritt 3: Beweismittelbedarf, Prioritäten und Abbruchkriterien definieren.
4. Schritt 4: Eine Fallchronik mit Entscheidungen, Datenständen und offenen Punkten beginnen.

2. Beweismittelannahme und Fallstruktur

1. Schritt 1: Images, Acquire-Container, Logsammlungen und virtuelle Maschinen inventarisieren.
2. Schritt 2: Prüfsummen, Dateigrößen, Zeitbezüge und Herkunftsdaten kontrollieren.
3. Schritt 3: Rohdaten, Targets, Hostausgaben, Exporte und Notizen getrennt ablegen.
4. Schritt 4: Unvollständige oder widersprüchliche Beweismittel sichtbar kennzeichnen.

3. Ersttriage und Systeminventar

1. Schritt 1: Basisinformationen aller Targets mit einem konsistenten Abfragesatz erfassen.
2. Schritt 2: Systeme nach Rolle, Kritikalität und beobachteten Indikatoren gruppieren.
3. Schritt 3: Schnelle Persistenz-, Benutzer-, Netzwerk- und Logprüfungen durchführen.
4. Schritt 4: Vertiefungskandidaten und erforderliche Nachforderungen priorisieren.

4. Windows- und Identitätsanalyse

1. Schritt 1: Registry, Eventlogs, Ausführungsartefakte und Benutzeraktivitäten gezielt abfragen.
2. Schritt 2: Verdächtige Dienste, Aufgaben, Runkeys und Anmeldungen in eine Hosttimeline überführen.
3. Schritt 3: Domänenobjekte und Identitätsereignisse mit Endpunktbefunden korrelieren.
4. Schritt 4: Kontomissbrauch, Persistenz und mögliche laterale Bewegung als überprüfbare Hypothesen formulieren.

5. Linux-, Dienst- und Infrastrukturspuren

1. Schritt 1: Authentifizierungs-, Audit-, Journal- und Paketdaten untersuchen.
2. Schritt 2: Shell-Historien, Cronjobs, Dienste, Netzwerk- und Webserverartefakte korrelieren.
3. Schritt 3: Virtuelle Datenträger und Child Targets auf zusätzliche betroffene Systeme prüfen.
4. Schritt 4: Systemübergreifende Übergänge anhand von Zeit, Konto, Netzwerkziel und Dateiindikator bewerten.

6. Timeline und Ereigniskorrelation

1. Schritt 1: Relevante Record-Streams aus mehreren Quellen normalisieren.
2. Schritt 2: Zeitzonen, Zeitdrift und unterschiedliche Zeitsemantiken kontrollieren.
3. Schritt 3: Eine fokussierte Ereignisfolge vom ersten Hinweis bis zur bestätigten Aktivität aufbauen.
4. Schritt 4: Kausalität, Gleichzeitigkeit und bloße zeitliche Nähe voneinander trennen.

7. IOC-, YARA- und Anomalieprüfung

1. Schritt 1: Bekannte Indikatoren in reproduzierbare Dateisystem- und Artefaktabfragen übersetzen.
2. Schritt 2: YARA- und Metadatensuchen zunächst auf priorisierten Targets testen.
3. Schritt 3: Seltene Werte und Baseline-Abweichungen als zusätzliche Hypothesen bewerten.
4. Schritt 4: Treffer mit Quellartefakten sichern und Fehlalarme nachvollziehbar verwerfen.

8. Befundprüfung und Peer Review

1. Schritt 1: Jeden Befund mit Quelle, Abfrage, Filter, Zeitbezug und Interpretation dokumentieren.
2. Schritt 2: Ein zweites Analyseteam kritische Befundketten reproduzieren lassen.
3. Schritt 3: Widersprüche, Datenlücken und konkurrierende Erklärungen offen behandeln.
4. Schritt 4: Bestätigungsgrad und verbleibendes Risiko pro Hypothese festlegen.

9. Technische Übergabe und Maßnahmenplanung

1. Schritt 1: Betroffene Systeme, Identitäten und Zeiträume in einer klaren Befundmatrix zusammenfassen.
2. Schritt 2: Sofortmaßnahmen, vertiefte Erhebung und längerfristige Prüfungen nach Dringlichkeit ordnen.
3. Schritt 3: Forensische Artefakte und exportierte Daten für Folgeanalysen geordnet bereitstellen.
4. Schritt 4: Fallverzeichnis, Runbooks und Ergebnisstände revisionsfähig abschließen.

Praxisübungen

• Bearbeitung eines mehrtägigen Falls mit Windows-, Linux-, AD- und Virtualisierungsdaten
• Teamorientierte Triage, Hypothesenbildung und Aufgabenverteilung unter Zeitdruck
• Rekonstruktion einer vollständigen Ereigniskette mit Gegenprüfung alternativer Erklärungen
• Peer Review, Befundmatrix und priorisierte technische Übergabe an ein fiktives Einsatzteam

Zielgruppe

Erfahrene DFIR-Analysten, Incident Responder, SOC-Spezialisten und technische Fallleiter

Voraussetzungen

Praktische Dissect-Erfahrung mit target-query, rdump und mindestens einem Betriebssystemtrack sowie sichere Grundlagen der Incident-Response-Methodik